Pesquisadores da Kaspersky revelaram em 28 de outubro uma vulnerabilidade de negação de serviço em câmeras IP da Intelbras. Com ela, qualquer pessoa conectada à mesma rede Wi-Fi do aparelho conseguia tirá-lo do ar sem precisar de usuário e senha. A fabricante já liberou o firmware R.260804, que resolve a falha.
O problema estava na rota usada para atualizar o firmware das câmeras. Essa rota não pedia autenticação e também não conferia se o arquivo enviado era um firmware válido. Uma única requisição fazia a câmera reiniciar e ficar fora do ar por cerca de um minuto. Com requisições repetidas, o aparelho podia ficar offline por tempo indeterminado, cortando o monitoramento ao vivo e o acesso pelo aplicativo.
Os pesquisadores testaram um modelo iM3B-C com firmware v240927. Segundo a Intelbras, o mesmo firmware também é usado nos modelos iMX C, iM4 C, iM5 SC, iME 360 C e iM7+ FC. As câmeras usam uma plataforma de um fabricante chinês, que precisou ser acionado para preparar a correção.
A falha foi classificada como de severidade média, com nota 5,1 no CVSS 4.0, e recebeu um identificador provisório do MITRE enquanto aguarda o CVE definitivo. O impacto potencial é grande: o aplicativo Intelbras Mibo Smart, usado para gerenciar essas câmeras, passa de 4 milhões de downloads, e o Brasil tem a maior base de usuários, à frente de Paraguai, Equador e Colômbia.
A recomendação é verificar qual versão de firmware está instalada e atualizar para a mais recente o quanto antes. Na nova versão, a rota de atualização passa a checar a sessão e os cookies do usuário antes de aceitar o envio de um firmware.
Fonte: Securelist (Kaspersky)